إضافة سمة nonce إلى عناصر <script>

في حال استخدام سياسة CSP المستندة إلى مفتاح تشفير عشوائي، يجب أن يحتوي كل عنصر <script> على سمة nonce تتطابق مع قيمة المفتاح التشفير العشوائي المحدّدة في عنوان CSP (يمكن أن تحتوي جميع النصوص البرمجية على المفتاح التشفير العشوائي نفسه). الخطوة الأولى هي إضافة هذه السمات إلى جميع النصوص البرمجية:

تم الحظر بواسطة سياسة أمان المحتوى (CSP)

<script src="/path/to/script.js"></script>
<script>foo()</script>

سيحظر إطار عمل CSP النصوص البرمجية هذه، لأنّها لا تحتوي على سمات `nonce`.

مسموح به من خلال خدمة إدارة مفاتيح التشفير (CSP)

<script nonce="${NONCE}" src="/path/to/script.js"></script>
<script nonce="${NONCE}">foo()</script>

سيسمح إطار عمل CSP بتنفيذ النصوص البرمجية هذه إذا تم استبدال${NONCE} بقيمة تتطابق مع القيمة العشوائية في عنوان استجابة CSP. يُرجى العلم أنّ بعض المتصفّحات ستخفي سمة nonce عند فحص مصدر الصفحة.